### X00060100 第27章 用访问控制列表实现包过滤
#### 一、ACL概述
访问控制列表（Access Control List，简称ACL）是一种用于实现数据包识别的重要工具，在网络管理中扮演着核心角色。通过定义一系列的规则，ACL能够筛选并控制进出网络的数据流。这些规则基于数据包的多种属性（如源IP地址、目的IP地址等），决定了数据包是被转发还是被拒绝。
#### 二、ACL包过滤原理
包过滤是一种常见的安全机制，通过设置访问控制列表（ACL）来实现。在包过滤中，每一个数据包都会被检查，以确定其是否符合预设的规则。如果数据包满足规则中的条件，则被允许通过；反之，则被丢弃。这一过程通常发生在网络设备的接口上，例如路由器的入站或出站接口。
1. **入站包过滤工作流程**：
- 数据包到达接口时，首先会被送入包过滤流程。
- 按照ACL中的顺序，逐条规则检查数据包。
- 如果数据包匹配某条规则，并且该规则的动作是“允许”(Permit)，则数据包继续传输。
- 如果数据包匹配某条规则，并且该规则的动作是“拒绝”(Deny)，则数据包被丢弃。
- 如果数据包没有匹配任何规则，则会根据默认规则处理，通常是“允许”或“拒绝”。
2. **出站包过滤工作流程**：
- 类似于入站流程，但在数据包离开接口之前执行过滤操作。
- 规则的执行逻辑与入站相同。
#### 三、ACL分类
ACL可以根据不同的标准进行分类：
1. **基本ACL**：基于数据包的源IP地址来过滤数据包。
- 序号范围：2000~2999
- 示例：拒绝来自1.1.1.0/24的所有数据包，而允许来自2.2.2.0/28的数据包通过。
2. **高级ACL**：除了源IP地址外，还支持更多的参数，如目的IP地址、端口号等。
- 序号范围：3000~3999
- 示例：拒绝从1.1.1.0/24来，到3.3.3.1的TCP端口80的数据包，而允许到2.2.2.1的TCP端口23的数据包通过。
3. **二层ACL**：根据二层信息（如源MAC地址、目的MAC地址等）来过滤数据包。
- 序号范围：4000~4999
- 示例：拒绝源MAC地址为2477-0367-cbe0的数据包，而允许源MAC地址为2477-0367-a0be的数据包通过。
#### 四、配置ACL包过滤
配置ACL包过滤涉及以下几个关键步骤：
1. **设置包过滤功能的默认过滤规则**：可以通过命令 `[H3C]packet-filter default deny` 来将默认行为设置为拒绝所有未匹配规则的数据包。
2. **创建ACL**：
- 基本ACL：`[H3C]acl number acl-number`
- 序号范围：2000~2999
- 示例：`[H3C]acl number 2000`
3. **添加规则**：
- 例如，创建一条拒绝特定源IP地址的数据包规则：`[H3C-acl-basic-2000]rule 1 deny source 1.1.1.0 0.0.0.255`
4. **应用ACL**：
- 在接口上应用ACL：`[H3C]interface GigabitEthernet0/0/1` 和 `[H3C-GigabitEthernet0/0/1]traffic-filter acl-number inbound`
5. **检查配置**：完成配置后，使用 `display acl all` 命令查看所有ACL的配置情况，确保规则正确无误。
#### 五、ACL包过滤的注意事项
1. **通配符掩码的理解**：通配符掩码与IP地址结合使用，用来描述一个地址范围。0表示对应位必须完全匹配，而1表示对应位不必匹配。
2. **规则顺序**：在多条规则的情况下，数据包会按照规则的先后顺序进行匹配，因此规则的排序非常重要。
3. **默认规则**：如果不显式地设置默认规则，通常系统默认的行为是允许所有未匹配的流量通过。
4. **性能考虑**：大量的ACL规则可能会导致性能下降，因此应合理设计和优化规则集。
5. **安全性和合规性**：确保所有配置符合组织的安全政策和合规要求。
通过上述知识点的学习，我们可以有效地利用ACL来增强网络的安全性，并实现对网络流量的有效控制。
